华为H3C实战 | 第19章 AP 上线配置

📚 本系列共 43 篇（第 19 / 43 篇）　·　第三卷 无线篇 —— 把网络甩到空中

← 上一篇：第 18 章 WLAN 体系与基本概念 　下一篇：第 20 章 WLAN 基础业务配置（WPA2-PSK / WPA3-SAE） →

本章导读：AP 上线就是新开的门店怎么找到总部：先拿门牌号（DHCP 拿管理 IP）、打听总部电话（发现 AC）、总部核对身份（AP 认证），最后领走经营手册。哪一步断了，现象都只有一句"AP 不上线"——本章帮你判断断在第几步。

本章结构：

• 19.1 功能原理与业务场景 —— 上线全过程的四步拆解、时序图，以及 19.1.3 “AP 拿的是什么配置”（CAPWAP 到底下发了什么）
• 19.2 华为设备配置详解 —— 六步走：DHCP 的 Option 43（多个 AC 时怎么写）→ CAPWAP 源接口 → AP 认证模式 → 添加 AP/改名/分组 → AP 组挂模板 → 固件升级；再附现场批量导入、上线验收清单和配置备份习惯
• 19.3 H3C 设备配置详解 —— H3C 的 AP 管理模型、完整模板、手工建 vs 自动发现两条路、逐行讲解
• 19.4 命令对照表 —— 两家并排
• 19.5 配置验证 —— 华为侧从下往上验、H3C 侧、以及交换机侧交叉验证（这一层最容易漏）
• 19.6 排错与故障树 —— AP 不上线完整故障树 + 标准排查顺序（从物理到 AC，一步都别跳）
• 19.7 新手踩坑 —— 上来就查 AC 配置，结果是网线没插紧
• 19.8 本章小结 —— 要点清单 + 自测题

重点提示：AP 不上线，先看 AP 的灯（19.6.2 第 1 步），再严按"物理 → DHCP → 发现 AC → 认证 → 模板绑定"的顺序往下走，别跳步。两个高频细节：Option 43 里的地址必须等于 AC 的 CAPWAP 源地址（十六进制别算错），AP 口 PVID 必须是管理 VLAN。 关联章节：前置的 AP/AC 体系与 CAPWAP 隧道概念见第 18 章；DHCP 地址池与 Option 见第 8 章；AP 上线后配 SSID 和密码见第 20 章；AC 双机备份见第 23 章。

19.1 功能原理与业务场景

19.1.1 这功能是干嘛的（通俗版）

第 18 章说了，瘦 AP 是"白纸门店"，AC 是"总部"。那么"AP 上线"这件事，本质上就是：一家新门店刚刚开张，怎么找到总部、怎么让总部认下自己、怎么把整份经营手册领回来。

拆成生活化的四步：

1. 找到地址：新店得先有个门牌号——AP 得先从 DHCP 拿到一个管理 IP。没有门牌号，谁也找不到你。
2. 找到总部：新店老板得知道总部电话——AP 得知道 AC 的 IP 地址。这就是"发现 AC"，有四种打听到总部电话的方式（问邻居、问同城的朋友、问电话本、自己早就知道）。
3. 总部认人：总部得确认"你确实是我们家的店，不是来蹭饭的"——AC 上配了 AP 认证，凭 MAC 地址或序列号核对白名单。核对不上，直接不理你。
4. 领手册：总部把菜单、价格、着装规范整份下发——AC 把无线配置推给 AP，AP 应用成功后状态变 Normal/Run，门店开张。

这四步任何一步断了，表现都是"AP 不上线"。AP 不上线是无线网排障里最高频的第一现场，而书上所有排查命令的价值，就在于告诉你"断在第几步"。

19.1.2 在网络里怎么落地（设计视角）

（1）上线全过程时序图

  AP                                交换机/核心                     DHCP服务器              AC
  |                                   |                               |                    |
  | ① 上电，POE 供电，从有线口发 DHCP 请求                              |                    |
  |---------------------------------->|------------------------------>|                    |
  |<----------------------------------|<------------------------------|                    |
  |    拿到 IP：10.200.1.20/24（VLAN 200）+ 网关 + Option 43（AC 地址）  |                    |
  |                                   |                               |                    |
  | ② 发现 AC：按 Option 43 / 广播 / 组播 里学到的 AC 地址发 Discovery  |                    |
  |-----------------------------------|-------------------------------|------------------->|
  |<----------------------------------|<------------------------------|--------------------|
  |    ③ DTLS 握手（若开了安全模式）                                     |                    |
  |<-----------------------------------------------------------------------------|--------->|
  |                                   |                               |                    |
  | ④ Join Request：报自己的 MAC/序列号                                 |                    |
  |-------------------------------------------------------------------------------|------->|
  |<-------------------------------------------------------------------------------|-------|
  |    ⑤ AC 查白名单：这台 AP 认证通过了吗？                             |                    |
  |                                   |                               |                    |
  | ⑥ AC 下发 CAPWAP 配置（国家码/射频/SSID/安全）                      |                    |
  |<-------------------------------------------------------------------------------|-------|
  | ⑦ AP 回报 Configuration Status，状态变 Normal（华为）/ Run（H3C）     |                    |
  |-------------------------------------------------------------------------------|------->|
  | ⑧ 周期性 Echo 心跳，进入长期运行态                                   |                    |
  |<------------------------------------------------------------------------------|------->|

注意第 ① 步里的 DHCP 响应：AP 和普通 PC 拿地址的方式没有区别，唯一的区别是 AP 还会"读"Option 43——那是 DHCP 服务器顺手塞进去的"AC 的电话号码"。这一步是整条链路上最容易出错、最需要交换机配合的环节，18.2/18.3 会给出交换机侧的完整配置。

（2）发现 AC 的四种方式，到底什么时候用哪种

实际项目里 90% 用 Option 43。 原因很直白：现代企业网 AP 管理 VLAN（200）和 AC 管理 VLAN（300）基本都在不同网段，跨三层是常态，广播和组播都要额外开功能，而 Option 43 只是让核心交换机的 DHCP 地址池多一行配置，最省事也最可控。

（3）AP 认证模式：三道门怎么选

公司里正式部署一定要用"白名单"思路：AC 只接受你名单里的 AP。否则别人买一台同型号 AP 插到你交换机上，也能上线并接入你的网络，等于开了个后门。H3C 的设计更"硬"：缺省情况下 AC 根本不会让任何 AP 自动上线，必须手工建一台 AP 并登记序列号——这其实就是强制白名单。

（4）AP 命名与分组的设计思路

真实项目里 AP 少则几十台，多则上千台。AP 名字和分组就是你的"文档系统"，配得好，三年后接手的人（可能就是你）能一眼看懂；配得差，就是一堆 ap_1、ap_2、ap_3。

推荐命名规范（本 Part 统一采用）：

   华为 AP 名：  AP1F-01 ~ AP1F-06      （1 楼，编号 01~06）
                 AP2F-01 ~ AP2F-08      （2 楼）
                 AP3F-A01 ...           （3 楼，A 区）
   H3C  AP 名：  ap1f-01 / ap2f-01 ...   （小写，符合 H3C 习惯）

   命名规则：   [楼层]F-[区/编号]
   示例：        AP1F-01 = 1 楼 1 号 AP

分组规范：

分组不是为了好看，是为了批量下发：改了 ap-group-office 的射频参数，组内所有 AP 一起变。

19.1.3 AP 怎么"拿着"配置：Capwap 下发的到底是什么

很多人有个误解：“我在 AC 上配了 SSID，是不是就存到 AP 里去了？“答案是：配的不在 AP 本地，而是在 AC 的运行时配置里，AP 只是"执行者”。 一旦 AP 和 AC 断开，AP 上那份配置会保留一段时间（具体行为各厂商各版本不同），但接不接受新终端、怎么处理，取决于断开后的状态机。

这一点带来几个特别重要的推论，新手必须建立：

（1）Capwap 下发的配置都包括哪些内容

AP 上线后 AC 下发的 CAPWAP 配置，本质是"把这台 AP 该具备的无线能力，以结构化参数的形式推下去"。它至少包括：

• 射频侧：国家码（决定可用信道集）、射频开关、频段模式（802.11a/n/ac/ax 等）、信道与带宽、发射功率、天线增益（部分型号）、速率集、Beacon 间隔。
• 业务侧：SSID 名称、是否隐藏、加密方式（WPA2/WPA3）、认证方式（PSK/802.1X）、业务 VLAN、转发方式、限速、隔离。
• 管理侧：CAPWAP 心跳间隔、Echo 超时次数、AP 名称、AP ID。
• 升级侧：AP 需要的固件版本（如果配了自动升级）。

AP 收到后逐项应用，全部成功就回报 Configuration Status Response，AC 把状态标为 Normal/Run。只要有任意一项应用失败，AP 状态就会停在"配置失败"或反复重试——这也是为什么同一型号、同一版本的 AP 能正常上线，个别 AP 却卡在配置阶段，通常要查这台 AP 是不是"型号/固件版本和别人不一样"。

（2）为什么"上线了但 SSID 不出来"和"AP 不上线"是两类完全不同的故障

这是新手把两类排障搞混的高发点，先讲清楚分界线：

只要 display ap all 里状态是 Normal/Run，就绝对不要再去查 DHCP 和 Option 43 了——那一步早就过了。这个分界线能帮你省下不止一半的时间。

（3）AP 供电这块也得提前想清楚

AP 不是插上电就行的设备，它需要PoE（以太网供电，Power over Ethernet）。不同的 802.11af/at/bt 标准给 AP 的功率预算不同，而 AP 型号对功率的需求差别巨大：

交换机 PoE 总功率是有限额。一台 24 口全 PoE 交换机常见总预算 370W，如果接 24 台 25.5W 的 AP，理论要 612W，超了。现场表现就是"接满一半突然有几台 AP 上不了电"“一台掉电另一台才亮”。这是新手上架时最容易忽略、又最折腾的一个坑，属于"设备没坏、AC 没配错，就是网不通"的典型案例。

适用版本：华为 VRP V200R019 及以上（AC6005/AC6605）；H3C Comware V7（R2609 及以上，WX3540H 等）。AP 自动上线（AP 自动发现并无需预先登记）在各厂商各版本的缺省行为不同，正式部署一律用白名单。

19.2 华为设备配置详解

19.2.1 命令行基础速览（本章会用到的那几条）

华为 AP 上线相关的命令分两类：AC 侧的无线命令（在 wlan 视图里）和交换机侧的 DHCP Option 43（在 DHCP 地址池里）。两者必须互相配合，缺一不可。

19.2.2 完整配置模板

（1）第一步：核心交换机（DHCP 服务器）配 Option 43

这是整条链路里最容易漏的一步。没有 Option 43，跨三层的 AP 就永远找不到 AC。

# 进入系统视图
system-view

# 开 DHCP 服务（不开地址池不生效）
dhcp enable

# 进入 VLAN 200 的三层接口，指定 DHCP 由本机提供
interface Vlanif200
 dhcp select global
 quit

# 创建 AP 管理段的全局地址池
ip pool ap-management
 network 10.200.1.0 mask 255.255.255.0
 gateway-list 10.200.1.1
 dns-list 192.168.10.10
 # 关键：Option 43 子选项 3 携带 AC 的 IPv4 地址（ASCII 形式）
 option 43 sub-option 3 ascii 10.200.1.2
 quit

✅ 已核实（官方文档原文）：华为 AP 指定单个 AC 时，支持识别 Option 43 的子选项 1、2、3，三种写法完全等价——官方原文：“以下配置等价，任选 1 个即可。也可直接使用 HEX 格式配置子选项，和上面的配置等价，配置可互相覆盖。”

写法	命令	说明
子选项 1（十六进制）	dhcp server option 43 sub-option 1 hex c0a86401	纯 IP 的 4 字节
子选项 2（十进制）	dhcp server option 43 sub-option 2 ip-address 192.168.100.1	最直观，推荐
子选项 3（ASCII）	dhcp server option 43 sub-option 3 ascii 192.168.100.1	可读
裸 hex（等价写法）	dhcp server option 43 hex 0204c0a86401	02=类型、04=长度、后 4 字节=IP

出处：https://support.huawei.com/enterprise/zh/doc/EDOC1100201714 （《不同厂商DHCP服务器对接华为AP时如何配置Option 43》）

配多个 AC（做主备/负载分担时要用）：官方支持子选项 2 和子选项 3，“AP 按照多个 WAC 的配置顺序，向所有 WAC 发送连接请求。AP 最多支持 8 个 WAC 地址"。写法：dhcp server option 43 sub-option 2 ip-address 192.168.100.1 192.168.100.2。

⚠ 注意命令前缀差异：官方文档里带 dhcp server 前缀（dhcp server option 43 ...）是交换机在系统视图/接口视图下的完整命令；在 IP 地址池视图下则简写为 option 43 ...。本教材的地址池配置用的是后者。两者指的是同一个 Option 43，别被前缀搞混。

（2）第二步：AC 侧指定 CAPWAP 源接口

# 进入系统视图
system-view

# CAPWAP 源接口指向 AP 管理段的三层接口
capwap source interface Vlanif200

（3）第三步：AC 侧配置 AP 认证模式

# 进入 WLAN 视图
wlan

# AP 认证方式为 MAC 认证（缺省值，写出来是为了明确）
ap auth-mode mac-auth

正式环境写 mac-auth；实验室想省事可以让 AP 免认证上线：

# 进入 WLAN 视图
wlan

# 关闭 AP 认证：任何 AP 接上就能上线
ap auth-mode no-auth

no-auth 只适合实验和 POC。生产环境用它，等于对陌生人敞开大门。上线验证完立刻改回 mac-auth。

（4）第四步：添加 AP、改名、分组

每台新 AP 需要：加入白名单（ap-id 0 ap-mac <MAC>）+ 起名字 + 归组。ap-id 后面的数字是 AP ID，一般从 0 开始顺序分配，也可以让 AC 自动分配。

# 进入 WLAN 视图
wlan

# 添加第一台 AP：用 MAC 地址登记，ap-id 分配为 0
ap-id 0 ap-mac 00e0-fc12-3456

# 进入这台 AP 的配置视图
ap-name AP1F-01

# 把它归入办公区 AP 组
ap-group ap-group-office

# 退出 AP 视图
quit

批量添加的思路是逐台重复 ap-id 那一段（ID 递增）。注意 AP 的 MAC 从哪里来：新开箱的 AP 外壳标签上有；更靠得住的办法是先把 AP 插到交换机上，在接入交换机 display mac-address 里按 VLAN 200 筛选，扒出所有 AP 的 MAC。

（5）第五步：创建 AP 组并挂模板

# 进入 WLAN 视图
wlan

# 创建 AP 组 ap-group-office（已存在则是进入）
ap-group name ap-group-office

# 给组绑国家码模板（第 18 章创建的 default）
regulatory-domain-profile default

# 绑定 2.4G / 5G 射频模板（第 18 章创建的 r2g / r5g）
radio-2g-profile r2g
radio-5g-profile r5g

# 退出
quit

radio-5g-profile r5g 依赖第 18 章的 radio-5g-profile 已创建。若还没建，先补建再绑，否则会提示模板不存在。

（6）第六步：AP 固件升级（让 AC 统一管理版本）

规模部署时，AP 的固件版本最好统一。华为提供了四种升级方式，用途完全不同，先分清再动手：

第一步：选升级模式。 官方支持三种模式（AC 模式 / FTP 模式 / SFTP 模式），缺省就是 AC 模式：

# 进入系统视图
system-view

# 进入 WLAN 视图（AP 升级命令都在这里）
wlan

# 选择升级模式：缺省就是 AC 模式，不配也行，写出来是为了明确
ap update mode ac-mode

# 如需用 SFTP 服务器（官方推荐：安全性高于 FTP，适合大网）
# ap update mode sftp-mode
# ap update sftp-server ip-address 10.200.1.100 sftp-username apuser sftp-password cipher Sftp@2026

第二步：配置 AP 上线时自动升级的参数。 AP 上线时会拿自己的版本和 AC 上的 AP 版本文件比对，不一致就升级后重启再上线。

# 进入 WLAN 视图
wlan

# 查看 AP 升级相关配置状态
display ap update configuration

第三步（业务已经在跑的网）：在线升级。 这是把已上线的 AP 升到新版本用最多的方式，先单台试，再批量：

# 进入 WLAN 视图
wlan

# 1) 先配某型号 AP 的升级文件名（把固件文件名和型号绑定）
ap update update-filename AP4050DN_V200R019.cc ap-type AP4050DN

# 2) 单台试点：指定一台 AP 加载新版本（不马上复位）
ap update load ap-id 0 update-filename AP4050DN_V200R019.cc

# 3) 确认无误后，对这台 AP 执行复位，让它用新版本重启
ap update reset ap-id 0

# 批量升级（按型号）：
ap update multi-load ap-type AP4050DN ap-group ap-group-office
ap update multi-reset ap-type AP4050DN ap-group ap-group-office

# 批量升级（按 AP 组）：
ap update multi-load ap-group ap-group-office
ap update multi-reset ap-group ap-group-office

✅ 已核实：以上升级命令依据华为官方《无线接入控制器(AC和FIT AP) V200R023C00 配置指南》“升级AP"章节原文——ap update mode { ac-mode | ftp-mode | sftp-mode }（缺省 ac-mode）、ap update sftp-server { ip-address ... | ipv6-address ... } sftp-username ... sftp-password cipher ...、ap update update-filename filename ap-type type-id [ ap-group ap-group-name ]、ap update load { ap-name ... | ap-mac ... | ap-id ... } update-filename ...、ap update reset { ap-name ... | ap-mac ... | ap-id ... }、ap update multi-load ap-type ... | ap-group ...、ap update multi-reset ...。出处：https://support.huawei.com/enterprise/zh/doc/EDOC1100332873 （配置指南 → AP管理 → 在线升级AP和加载补丁）

⚠ 官方明确的三条限制，踩了会很麻烦：

1. AC 模式同时升级能力有限：“使用 AC 设备作为 FTP 服务器，最多只能同时升级 15 台 AP”；SFTP 模式用 AC 当服务器最多同时升 5 台。大网建议用外置 SFTP 服务器（缺省并发 50）。
2. 老版本不支持 AC 模式：“如果需要升级的 AP 版本为 V200R008 及之前的版本，则不支持以 AC 模式升级。”
3. AC 模式批量升级建议关安全引擎：“使用 AC 模式进行 AP 批量升级或加载补丁，建议关闭安全引擎，否则可能会因此导致系统内存不足。”

另外，升级前务必确认固件文件已经上传到 AC（或 SFTP/FTP 服务器），这是官方列出的前提条件。

19.2.3 现场上架时的"批量导入"思路

真实项目里 AP 往往一次到货几十台，一台台敲 ap-id 0 ap-mac xxx 会累死，还容易敲错。几个降低工作量的方法：

• 先插交换机，批量扒 MAC：把所有 AP 一次性插上，在接入交换机上按管理 VLAN 200 过滤 MAC 表，导出所有 AP 的 MAC，这是最快拿到完整清单的办法。
• 按 MAC 表写脚本生成配置：MAC 清单出来后，用表格工具或脚本生成 ap-id N ap-mac XXX + ap-name XXX + ap-group XXX 的配置文本，再整段粘贴到 AC。
• 命名与组的对应关系提前定好：比如交换机 1 口对应的 AP 叫 AP1F-01，在清单里直接标好，不要等上线后再逐台改名。

在接入交换机上扒 AP MAC 的方式如下：

# 查看 VLAN 200（AP 管理段）下所有 MAC 学习记录
display mac-address vlan 200

MAC Address    VLAN  Learned-From      Type
00e0-fc12-3456 200   GE0/0/5           dynamic
00e0-fc12-3478 200   GE0/0/6           dynamic

按端口号排一下序，就能得到"端口号 ↔ AP MAC"的完整对照表，编号直接照着起名（1 口 → AP1F-01，2 口 → AP1F-02）。

19.2.4 逐行讲解

19.3 H3C 设备配置详解

19.3.1 H3C 的 AP 管理模型

H3C 的 AP 上线逻辑跟华为有一处根本区别：H3C AC 缺省不让 AP 自动上线。要在 AC 上"手工创建 AP 对象”，登记型号和序列号，AP 才会被受理。这套设计比华为的 no-auth 更严格，但要求你把每一台 AP 的序列号都录进去。

H3C 的 AP 管理有三层结构：

   [AP 对象]  wlan ap <名称> model <型号> + serial-id xxx
        |
        |  归组
        v
   [AP 组]    wlan ap-group <组名> → ap-model <型号> → radio N → 绑服务模板
        |
        |  继承
        v
   [全局]     wlan global-configuration（区域码等）

19.3.2 完整配置模板

（1）第一步：交换机侧配置 DHCP Option 43

H3C 的 Option 43 格式与华为不同：H3C 用"子选项"概念，子选项 1 里携带 AC 的 IPv4 地址，格式为十六进制。下面给出地址池骨架，具体 Option 43 写法以你的版本手册为准。

# 进入系统视图
system-view

# 开 DHCP 服务
dhcp enable

# 创建 AP 管理段地址池
dhcp server ip-pool ap-management
 network 10.200.1.0 mask 255.255.255.0
 gateway-list 10.200.1.1
 dns-list 192.168.10.10
 # 下发 Option 43，携带 AC 的 IPv4 地址
 option 43 hex 0104 0AC8 0102
 quit

✅ 已核实（H3C 官方原文）：H3C 的 Option 43 用 hex 十六进制格式，官方示例为：

[DHCP Server-dhcp-pool-1] option 43 hex 800700000102010102

官方原文注释：“注意 Option 43 选项内容中最后四字节为 02010102（2.1.1.2），即为 AC 的 IP 地址”。出处：https://www.h3c.com/cn/d_202001/1266096_30005_0.htm （01-AP管理配置）

各字节怎么拆：

片段	含义
80	厂商类型（PXE）
07	后面内容的长度（7 字节）
000001	H3C 的厂商 ID
02	子选项类型（ACS 格式用 02）
01010103	AC 的 IPv4 地址（示例为 1.1.1.3），4 字节

换算到本 Part 的案例：AC 地址 10.200.1.2 → 十六进制 0A C8 01 02，所以整串是 option 43 hex 80070000020AC80102。

⚠ H3C AP 只认 HEX 形式（官方说明：“H3C AP 可以识别 PXE 和 ACS 两种格式，但仅能识别 HEX 形式”）。十六进制必须自己换算，算错就是"AP 能找到地址但发现不了 AC”——这是 H3C 侧最高频的坑。本教材写的 option 43 hex 0104 0AC8 0102 是 PXE 子选项简写形式，如果你按官方完整格式配，请用上面的整串。

（2）第二步：AC 侧指定 CAPWAP 源接口

# 进入系统视图
system-view

# H3C 的三层接口名带连字符
capwap source interface Vlan-interface200

（3）第三步：创建 AP 对象（登记序列号）

H3C 必须先"建档案"，AP 才有资格上线。

# 进入系统视图
system-view

# 创建名为 ap1f-01 的 AP，型号 WA6320
wlan ap ap1f-01 model WA6320

# 登记序列号（AP 出厂标签上的 SN）
serial-id 219801A28N819CE0002T

# 归入办公区 AP 组
ap group name ap-group-office

# 退出
quit

序列号从哪来？AP 的出厂标签、包装箱，或者 AP 未上线时 AC 上可能记录到未认证 AP 的信息。真实现场最常见的做法是贴标签登记表，一次性录完所有 SN。

（4）第四步：AP 组下按型号下发配置

# 进入系统视图
system-view

# 进入 AP 组
wlan ap-group ap-group-office

# 按型号批量配置（组内所有 WA6320 生效）
ap-model WA6320

# 进入 2.4G 射频
radio 1

# 打开射频
radio enable

# 绑定服务模板（第 20 章创建的 wlan-office）
service-template wlan-office

# 退出
quit

（5）第五步：AP 固件升级

H3C 的 AP 固件升级通常是把固件文件上传到 AC 的存储，然后在 AP 组或全局下指定 AP 版本的自动升级策略，AP 上线后自动比对升级。同样因版本差异大，此处只给排查用的查询命令：

# 看 AP 当前的软硬件版本
display wlan ap name ap1f-01 verbose

H3C 的 AP 自动升级由三个环节组成（官方配置举例原文）：

# 1) 在 AP 组下开启固件升级功能：AC 会比对 AP 当前版本与指定版本是否一致
wlan ap-group ap-group-office
 firmware-upgrade enable
 quit

# 2) 指定 AC 优先从本地文件夹取 AP 镜像
wlan image-load filepath local

# 3) 指定"AP 型号 + 硬件版本 → 软件版本"的对应关系
#    前提：把 AP 版本文件放到 AC 的 apimg 目录下，且文件名中的版本号与这里一致
wlan apdb oasisap WA6526H Ver.A E2588P01

✅ 已核实（H3C 官方配置举例原文）：firmware-upgrade enable（AP 组视图）、wlan image-load filepath local、wlan apdb <AP 型号> <硬件版本> <软件版本> 三条命令，均来自 H3C《AC 集中管理云 AP 命令行典型配置举例》。官方原文说明：“开启 AP 版本升级功能后，AC 将比较 AP 的软件版本与配置的软硬件版本关系是否一致。如果一致，则不进行升级，如果不一致，则进行软件版本升级”；“指定 AP 型号的软硬件版本对应关系时，用户需要将待升级的 AP 版本文件保存到 AC 的 apimg 目录下，并且保证该软件版本号与配置指定的版本号一致”。出处：https://www.h3c.com/cn/d_202312/2005990_30005_0.htm

⚠ 注意：wlan apdb oasisap WA6526H Ver.A E2588P01 里的型号/版本是官方举例用的示例值，必须换成你实际的 AP 型号与版本号；oasisap 是云 AP 的场景关键字，纯 FIT AP 场景据官方说明可能不需要，这一细节请以你设备 ? 补全为准。 ⚠ 待核实：待核实——wlan apdb 命令中 oasisap 关键字在纯 FIT AP（非云 AP）场景下是否省略，需对照 WX 系列 AP 管理配置指导

19.3.3 H3C 现场上架的两条路：手工建 vs 自动发现

H3C 现场上架有两条路，理想和现实差别不小：

正确姿势是两者结合：上架阶段开自动 AP → 拿到真实序列号 → 固化为手工 AP → 关掉自动上线。这样既不手抄序列号，又保留了白名单。

H3C 自动 AP 的完整命令（官方原文）：

# 进入系统视图
system-view

# 开启自动 AP 功能：新接入的 AP 无需预登记即可自动上线
wlan auto-ap enable

# 开启自动固化：之后上线的自动 AP 自动转为手工 AP
# （官方说明：仅对配置本命令后上线的自动 AP 生效）
wlan auto-persistent enable

# 对已经在线的自动 AP，用这条把它们一次性全部固化为手工 AP
wlan auto-ap persistent all

✅ 已核实（H3C《AP 管理命令》原文）：wlan auto-ap enable（系统视图，“开启自动 AP 功能”）、wlan auto-ap persistent / wlan auto-ap persistent all（“将自动 AP 固化为手工 AP”）、wlan auto-persistent enable（“开启自动固化功能”）。官方还明确："自动 AP 不能单独配置，需要固化为手工 AP 或者通过 AP Group 进行配置"；“该命令仅对配置本命令后上线的自动 AP 生效，对于已上线的自动 AP，只能使用 wlan auto-ap persistent 命令将自动 AP 固化为手工 AP”。出处：https://www.h3c.com/cn/d_201912/1256521_30005_0.htm （01-AP管理命令）

上线后的验证：display wlan ap all 里 “自动 AP 下载版本文件时状态为 IL，上线之后状态为 R/M"（官方原文），Total number of connected auto APs 与 manual APs 两个计数能看出还有多少台没固化。

（1）怎么拿到序列号

不用手抄外包装。AP 一上线，AC 上就能看到它的真实序列号：

# 查看全部 AP 的地址与序列号信息
display wlan ap all address

AP name        Serial ID              MAC address       IP address
ap1f-01        219801A28N819CE0002T   0AFB-423B-893C    10.200.1.20
ap1f-02        219801A28N819CE0003A   0AFB-423B-893D    10.200.1.21

拿到这张表，就能一次性把所有 AP 的序列号归档，作为后续白名单的依据。

（2）H3C 的继承优先级，要提前想清楚

H3C 的 AP 配置有严格的继承优先级：AP 视图 > AP 组视图 > 全局配置视图。看一个具体例子：

   AP 组 ap-group-office 下 radio 1 配了 channel 20mhz 1
   单台 AP ap1f-03 的 radio 1 配了 channel 20mhz 6
   → 最终 ap1f-03 用 6 号信道（AP 视图覆盖组视图）
   → 其他同组 AP 用 1 号信道（继承组视图）

这个规则有两个实践含义：

• 好处：某台 AP 有特殊需求（比如放在电梯厅、要单独调信道），只要在单台 AP 上覆盖即可，不用为它单独建组。
• 坏处：排查时不能只看 AP 组，还要看单台 AP 上有没有"覆盖"配置。display wlan ap all running-configuration verbose 这类命令的输出会用 (i)（继承自 AP 组）和 (g)（继承自全局）标注每条参数的来源，非常好用。建议记住这一点，第 24 章排错会反复用到。

19.3.4 逐行讲解

19.3.5 上线“验收清单”：交付前逐条打勾（两家通用）

AP 上线不是"看到 Normal 就完事"。一个负责任的交付，应该在上架阶段就把下面这些问题一次性排清，免得三个月后被人问"为什么 3 楼西侧信号差"才发现当初 AP 名字起错了。

19.3.6 上线阶段的“配置备份”习惯（两家通用）

AC 是整栋楼的无线大脑，AC 的配置文件是这一层楼最值钱的一份文本。改完配置立刻备份，是所有老网管的本能：

# 查看当前运行配置（华为 AC）
display current-configuration

# 查看当前运行配置（H3C AC）
display current-configuration

把输出存成文件（用终端软件的"记录会话"功能，或者 save 之后把配置文件拷出来），按日期命名归档。真正出事的时候（AC 主板坏、误删配置、升级失败回滚），这份备份能让你在半小时内恢复，而不是通宵重配。

新手常见的交付方式是"能上网就交"，老手交的是"能上网 + 能交接"。上面这张表就是两者的区别——特别是"上行速率"这一项：AP 的上行口如果因为网线质量或接口协商问题降到了 100Mbps，单台 AP 的极限吞吐就变成 100M 了，你会看到"Wi-Fi 6 AP 为什么只有 90Mbps"的诡异现象，而 AC 上一切正常，查死你也查不出来。一定要在交换机侧确认 AP 口的协商速率是 1000Mbps。

19.4 华为 / H3C 命令对照表

19.5 配置验证

19.5.1 华为侧：从下往上验

先确认 AP 拿到地址——这是链路的起点。

# 在核心交换机上看 AP 管理段的地址分配情况
display dhcp server ip-in-use

IP address       Client identifier/Client MAC  Lease      Type   Pool
10.200.1.20      00e0-fc12-3456                Oct 19 2026 12:00:00  Auto(C)  ap-management

看到 AP MAC 出现在 ap-management 池里，说明 DHCP 和 Option 43 这一步通了。

再看 AP 是否上线：

# AC 上看 AP 概要状态
display ap all

ID   MAC            Name        Group            IP              Type        State    STA  Uptime
0    00e0-fc12-3456 AP1F-01     ap-group-office  10.200.1.20     AP4050DN    nor      3    01:12:33

State 为 nor（Normal）就是成功上线；fault、auth 之类说明断在后面几步。

看单台 AP 的细节：

# 看 AP ID 0 的详细信息
display ap id 0

AP ID                  : 0
AP name                : AP1F-01
AP MAC                 : 00e0-fc12-3456
AP type                : AP4050DN
AP state               : Normal
AP group               : ap-group-office
Country code           : CN
CAPWAP source interface: Vlanif200

AP state : Normal + Country code : CN 都对了，说明配置下发成功。

查 MAC 认证白名单是否登记正确：

# 看 MAC 认证列表
display ap mac-auth list

----------------------------------------------------------------------
AP MAC            AP ID   AP Name    AP Group
00e0-fc12-3456    0       AP1F-01    ap-group-office
----------------------------------------------------------------------

19.5.2 H3C 侧

先确认 AP 状态为 Run，再查单台 AP 的详情：

# 看 AP 状态
display wlan ap all

AP name                     Model            State
ap1f-01                     WA6320           Run

State 是 Run 才算成功；Idle 说明连不上 AC。

# 看单台 AP 详细信息
display wlan ap name ap1f-01 verbose

AP name                       : ap1f-01
AP ID                         : 1
AP group name                 : ap-group-office
State                         : Run
Model                         : WA6320
Serial ID                     : 219801A28N819CE0002T
MAC address                   : 0AFB-423B-893C
IP address                    : 10.200.1.20
Region code                   : CN

重点看四项：State: Run、IP address 在管理段、Serial ID 与你录入的一致、Region code: CN。

19.5.3 交换机侧交叉验证

AC 和 AP 都说好了，还要看交换机这一侧有没有配漏：

# 华为交换机：确认 AP 接口是 access 200 且 PoE 正常
display port vlan

Port                  Link Type    PVID    Trunk VLAN List
----------------------------------------------------------------
GigabitEthernet0/0/5  access       200     -

# 华为交换机：确认 PoE 在供电
display poe interface

Interface     Power(mW)  Current(mA)  Voltage(V)  PowerStatus
GE0/0/5       15400      320          50.0        Delivering

PowerStatus 是 Delivering 说明正在供电。如果是 Power-off 或者 Detecting，AP 压根没上电，别查 AC 了。

19.6 排错与故障树

19.6.1 AP 不上线完整故障树

19.6.2 标准排查顺序（从物理到 AC，一步都别跳）

新手最容易犯的错是"上来就查 AC 配置"，查半天发现是网线没插紧。按下面的顺序排查，可以保证每一步都建立在上一步已确认的基础上：

1. 看 AP 的灯：华为 AP 上电后灯的颜色和闪烁方式能直接告诉你它卡在哪一步（红灯常亮一般是认证失败，灯不亮是没供电）。
2. 看交换机接口状态：display interface GigabitEthernet0/0/5 的 current state 是不是 UP。
3. 看 PoE：display poe interface 确认 Delivering。
4. 看接口 VLAN：display port vlan 确认 PVID 是管理 VLAN（200）。
5. 看 DHCP 分配：display dhcp server ip-in-use 里有没有这台 AP 的 MAC。
6. 看 Option 43：display current-configuration 里搜 option 43。
7. 在 AP 同网段主机 ping AC 的 CAPWAP 源地址：不通就先修三层。
8. 看 AC 侧白名单：MAC / SN 是否登记。
9. 看 AC 侧 CAPWAP 源接口：display capwap config 是不是 AP 能到达的地址。
10. 抓包：在交换机上镜像 AP 口，抓 UDP 5246，看 Discovery Request 发出去没、有没有 Discovery Response 回来。

19.7 新手踩坑与注意事项

1. 地址池里出地址但 AP 找不到 AC——症状：AP 拿到 IP 了，display ap all 里没有它。原因几乎一定是 Option 43 没配或填错。避开：Option 43 里填的必须是 CAPWAP 源接口地址，不是网关不是 AC 管理口地址。
2. H3C Option 43 十六进制手算错——症状：同上。避开：10.200.1.2 → 0A C8 01 02，用在线换算或 PowerShell [System.Net.IPAddress]::Parse("10.200.1.2").GetAddressBytes() 算，别用十进制脑子硬转。
3. 认证模式是 MAC 但没登记 AP——症状：AP 灯常红，AC 上有认证失败告警。避开：新 AP 上线前先把 MAC 录进白名单，或者临时开 no-auth 验证链路，验证完立刻改回来。
4. AP MAC 格式写错——症状：加进白名单了但还是认证失败。避开：华为要 4-4-4 带连字符（00e0-fc12-3456），从 display mac-address 里直接复制，不要手打。
5. CAPWAP 源接口指错——症状：AP 能发现 AC 但建立不了连接。避开：源接口地址必须是 AP 路由可达的，且要等于 Option 43 里下发的那个。
6. AP 落在 default-group——症状：AP 上线了，SSID 就是不广播。避开：加 AP 时就把 ap-group 敲上，别指望它自己归位。
7. PoE 功率超预算——症状：几台 AP 同时上不了电，或者上一台掉一台。避开：交换机 PoE 总功率是有限的（如 370W），Wi-Fi 6 高功率 AP 单台可能就 25W+，算好预算，不够就加电源或分批供电。
8. AP 型号不在 AC 支持列表——症状：AP 上电了但 AC 完全没反应。避开：采购前先查 AC 版本的"支持 AP 型号列表"，比买完再发现不支持便宜得多。
9. 实验室用了 no-auth 忘了改——症状：某天发现多了一台陌生 AP。避开：no-auth 用完立刻改回 mac-auth，并且在变更记录里写清楚。
10. AP 固件版本与 AC 不匹配——症状：AP 能上线但行为异常、部分功能不可用。避开：规划时就把 AP 固件版本与 AC 兼容性作为上架前的检查项。

19.8 本章小结

19.8.1 要点清单

• 上线四步：拿地址 → 发现 AC → AC 认证 → 下发配置 → 状态 Normal/Run。
• 发现 AC 四种方式：广播、组播、DHCP Option 43、静态指定。跨三层必须用 Option 43 或组播，实际项目 90% 用 Option 43。
• Option 43 填的是 CAPWAP 源接口地址，不是网关也不是 AC 管理口。华为用 sub-option 3 ascii，H3C 用 option 43 hex 并需自己换算十六进制。
• AP 认证：华为 ap auth-mode mac-auth + 白名单；H3C 必须手工建 AP 对象并登记 serial-id。生产环境一律白名单。
• AP 必须归组，否则落在 default-group，模板不生效、SSID 不广播。
• 排查顺序：灯 → 接口 → PoE → PVID → DHCP → Option 43 → 三层可达 → 白名单 → 源接口 → 抓包。别跳步。

19.8.2 自测题

1. AP 管理段是 10.200.1.0/24，AC 的 CAPWAP 源接口是 Vlanif200（10.200.1.2）。华为交换机上 Option 43 应该怎么配？填哪个地址？
2. H3C 上 AP 一直不上线，display wlan ap all 里看不到它。除了 Option 43，还有哪个 H3C 特有原因最容易漏？
3. 为什么跨三层场景下"二层广播发现"不好用？
4. AP 已经 State: Normal 了，但手机搜不到 SSID，最可能是什么原因？怎么确认？
5. 交换机 PoE 总功率 370W，8 台 Wi-Fi 6 AP 每台 25W，够不够？如果不够会有什么现象？

1. 在核心交换机 VLAN 200 的地址池里配 option 43 sub-option 3 ascii 10.200.1.2，填的是 AC 的 CAPWAP 源接口地址 10.200.1.2。
2. 没有在 AC 上手工创建 AP 对象并登记 serial-id。H3C 缺省不允许未登记的 AP 上线，即使 Option 43 配对了，AP 一直请求也会被忽略。
3. 因为二层广播只能在同一个广播域内传播，AP 与 AC 不在同一 VLAN 时广播包会被三层设备丢弃。跨三层必须用 Option 43（DHCP 响应能穿过三层）或组播（需网络支持）才能让 AP 学到 AC 地址。
4. 最可能是 AP 没有加入绑定了 VAP 模板的 AP 组（落在 default-group 里），或者射频模板没有执行 undo shutdown / radio enable。确认：display vap ssid <SSID名> 看 Status 是否 ON；display ap id <ID> 看 AP group 是不是你期望的组。
5. 不够，8 × 25W = 200W，看似小于 370W——但要注意 AP 满载时的瞬态功率、交换机自身开销和 PoE 线损，实际可用功率通常要打折扣（业界惯例按 80% 设计）。若超出预算，现象是部分 AP 上不了电、或上一台掉一台、或 AP 反复重启；要按 display poe power-usage 核对总功率使用情况，必要时加 PoE 电源或分批上电。

关于本书：《华为 / H3C 网络设备典型功能配置详解》—— 面向国内高校/企业网络环境， 华为 VRP 与 H3C Comware 双厂商并排配置的实操教材，共 43 章。 全书所有命令尽量有官方出处，查不到的显式标注「待核实」。 返回系列目录